【入門】 Entra ID を理解する前に知っておきたい認証・認可の基礎と SAML / OIDC / SCIM
はじめに
こんにちは、クラスメソッドの目取眞です。
情報システム部門での OJT を通じて Microsoft Entra ID（旧 Azure Active Directory、以下 Entra ID）を学ぶ機会があったため、理解を深める目的で学習内容を整理しました。
Entra ID は、多くの企業で IDaaS（Identity as a Service）として利用されていますが、「認証と認可はどう違うのか」「SAML と OIDC の使い分けは」「SCIM は何をするものなのか」といった周辺概念は、いざ整理しようとすると意外とややこしいものです。
本記事では、Entra ID を理解するための前提として、認証・認可の基礎、主要な機能、SAML、OIDC、SCIM の役割分担を解説します。
今回のゴール
- 「認証」と「認可」の違いを整理し、Entra ID が担う範囲を明確にする
- MFA や認証要素、OTP（TOTP）といった認証強度に関する基礎知識を押さえる
- Entra ID の位置づけ（IDaaS）と主な機能（SSO、条件付きアクセス、MDM / MAM 連携、ハイブリッド ID）を把握する
- SAML、OIDC、SCIM という 3 つの標準規格の役割の違いを理解する
1. 認証と認可の違い
Entra ID を理解する第一歩は、「認証（Authentication）」と「認可（Authorization）」を区別することです。
- 認証（Authentication）：ユーザーが「本人であること」を確認すること
- 認可（Authorization）：ユーザーが「何ができるか」を制御すること
Entra ID は認証だけでなく、グループやアプリロール、ディレクトリロール、条件付きアクセスなどを通じてアクセス制御にも関与します。ただし、特定のリソースに対してどの操作を許可するかという詳細な認可の判断は、アプリケーションの認可機能や、AWS IAM のポリシーなどが担う場合が多く、両者は役割分担しています。
「Entra ID でログインできる＝すべてのリソースにアクセスできる」わけではなく、「ログインできる（認証）」と「何ができるか（認可）」は別レイヤーの話だという点を押さえておくと、以降の話が理解しやすくなります。
2. 認証強度の考え方
単一要素認証の弱さと MFA
ユーザー ID とパスワードによるログインでは、認証要素として使用されるのはパスワードのみであるため、単一要素認証に該当します。パスワードの漏えい、使い回し、フィッシングなどの影響を受けやすいため、追加の認証要素を組み合わせる MFA（Multi-Factor Authentication、多要素認証）が推奨されます。なお、2FA（2 要素認証）は MFA の一種であり、異なる種類の認証要素を 2 つ使用する認証方式を指します。
認証要素は、一般に次の 3 種類に分類されます。
| 要素 | 内容 | 例 |
|---|---|---|
| 知識情報 | 本人が知っていること | パスワード、PIN コード |
| 所持情報 | 本人が持っているもの | スマートフォン、セキュリティキー |
| 生体情報 | 本人自身の身体的特徴 | 指紋、顔認証 |
異なる種類の認証要素を組み合わせることで、パスワード漏えいやフィッシングなどのリスクに対する耐性を高められます。
OTP（ワンタイムパスワード）の仕組み
OTP（ワンタイムパスワード）は、その都度変化する使い捨てのパスワードの総称です。代表的な方式が TOTP（Time-based One-Time Password）で、認証サーバーと認証アプリが共有シークレットと時刻情報に基づいて、一定時間ごとに同じ認証コードを生成します。
TOTP は、事前に共有シークレットを登録した後は、コード生成時に認証サーバーとの通信を必要としません。そのため認証アプリがオフライン環境でも利用可能という特徴があります。ただし、端末とサーバーの時刻が大きくずれると認証に失敗する可能性があります。
なお、TOTP は便利な一方でフィッシング耐性は必ずしも高くありません。より高いセキュリティが求められる場面では、パスキーや FIDO2 セキュリティキーなど、フィッシング耐性を持つ認証方式の採用も検討するとよいでしょう。
3. Entra ID の位置づけと主な機能
Entra ID は、クラウドベースで ID とアクセスを管理する IDaaS（Identity as a Service） です。
Entra ID が提供する主な機能は次のとおりです。
| 機能 | 内容 |
|---|---|
| SSO（Single Sign-On） | 一度のログインで複数のサービスにアクセスできる |
| 条件付きアクセス | アクセス元の場所・デバイス・リスクレベルなどの条件に応じてアクセスを制御する |
| MDM（Mobile Device Management）/ MAM（Mobile Application Management）連携 | Intune などの MDM と連携し、デバイスの準拠状態を条件付きアクセスの条件に利用できる。MAM では、条件付きアクセスの許可コントロールとして、アプリ保護ポリシーの適用を必須にできる |
| ハイブリッド ID | オンプレミスの Active Directory とクラウドを連携させ、一元的な ID 管理を実現する |
4. 用語整理：IdP と SP
SAML による SSO を理解するうえで欠かせないのが、IdP と SP という 2 つの用語です。なお、OIDC では一般に、IdP に相当する役割を OP（OpenID Provider）、SP に相当する役割を RP（Relying Party）またはクライアントと呼びます。
- IdP（Identity Provider）：ユーザーの ID を管理し、ユーザーを認証したうえで、その認証結果をアプリケーションへ提供するサービス。Entra ID はこの IdP にあたる。
- SP（Service Provider）：ユーザーが実際にログインして利用するアプリケーション。Salesforce や Slack などがこれにあたる。
IdP が「本人確認をする側」、SP が「本人確認の結果を受けてサービスを提供する側」という関係です。
5. 認証プロトコル：SAML、OIDC
SAML（Security Assertion Markup Language） は、IdP と SP の間で、認証結果やユーザー属性などを含むアサーションを交換するための XML ベースの標準規格です。一度のログインで複数サービスにアクセスできる SSO を実現します。
OIDC（OpenID Connect） は、OAuth 2.0 を基盤として ID トークンを追加し、ユーザー認証を実現するための標準プロトコルです。
Entra ID は SAML と OIDC の両方をサポートしています。SAML の文脈では IdP、OIDC の文脈では OP（OpenID Provider）として機能し、その基盤となる OAuth 2.0 の文脈では認可サーバーとして機能します。
- SAML：Salesforce など、既存のエンタープライズアプリとの連携
- OIDC：モダンな Web アプリ、モバイルアプリ、顧客向けの Microsoft Entra External ID を用いたカスタム認証など
実務では、まず連携先の SaaS が対応するプロトコルを確認し、その範囲で要件に適した方式を選択します。
6. プロビジョニングと SCIM
認証プロトコルとは別に、ユーザーアカウントそのものの管理を担う仕組みがプロビジョニングです。
プロビジョニングとは、IdP などの ID 基盤と対象アプリケーションの間でユーザーやグループの情報を同期し、アカウントの作成・更新・無効化・削除を自動化する仕組みです。
SCIM（System for Cross-domain Identity Management） は、ユーザーおよびグループのプロビジョニングを標準化したプロトコルです。RESTful API を用いて、ID 基盤と対象アプリケーションの間でユーザー・グループ情報を同期します。
7. SAML、OIDC、SCIM の役割分担
SAML、OIDC、SCIM は、名前が似た文脈で登場するため、私自身も当初は混同していましたが、担う役割とタイミングが異なります。
| 担う役割 | タイミング | |
|---|---|---|
| SAML、OIDC | 認証・SSO | ユーザーが対象アプリケーションにアクセスする時 |
| SCIM | アカウントおよびグループのライフサイクル管理（作成・更新・無効化・削除） | ユーザーのログイン処理とは独立して、定期的またはオンデマンドで実行される |
これらは競合するものではなく補完関係にあり、SSO（SAML、OIDC）と自動プロビジョニング（SCIM）を組み合わせることで、エンタープライズにおける ID 運用の効率化が実現されます。
まとめ
Entra ID は認証、ID 管理、アクセス制御を担う IDaaS です。特定のリソースに対する操作レベルの認可は、アプリケーションや AWS IAM などのリソース側で実装されることが多く、Entra ID と役割分担します。また、MFA による認証強度の強化や SSO、条件付きアクセスといった機能に加え、SAML と OIDC は認証・SSO のための標準プロトコルであり、SCIM はユーザーおよびグループのプロビジョニングを担う標準プロトコルです。これらを組み合わせることで、ID 運用を効率化できます。
これらの基礎を押さえておくことで、Entra ID の設定や他サービスとの連携を検討する際の全体像をより明確に把握できるようになります。
参考
- SAML versus OpenID Connect - Choose the right SSO protocol（SAML と OIDC の選択ガイド）
- Single sign-on SAML (Security Assertion Markup Language) protocol（SAML プロトコルの詳細）
- OAuth 2.0 and OpenID Connect protocols（OAuth 2.0 と OIDC プロトコルの詳細）
- What is automated app user provisioning in Microsoft Entra ID（自動プロビジョニングの概要）
- Tutorial - Develop a SCIM endpoint for user provisioning to apps from Microsoft Entra ID（SCIM エンドポイント開発チュートリアル）
- 条件付きアクセス認証強度の概要 - Microsoft Entra ID
